Microsoft 365 Defender 研究团队在 Linux 操作系统中发现了两个漏洞,分别被跟踪为 CVE-2022-29799 和 CVE-2022-29800(统称为 Nimbuspwn),可允许攻击者提升权限以获取 root 权限并安装恶意软件。

根据介绍,这些漏洞可以链接在一起以获得 Linux 系统的 root 权限,从而允许攻击者部署有效负载,如 root 后门,并通过执行任意 root 代码来执行其他恶意操作。此外,Nimbuspwn 漏洞可能会被更复杂的威胁(例如恶意软件或勒索软件)用作获取 root 权限的载体,从而对易受攻击的设备产生更大的影响。

微软方面表示,其在对以 root 身份运行的服务进行代码审查和动态分析时,通过监听系统总线(System Bus)上的消息发现了这些漏洞,并注意到了一个名为 networkd-dispatcher 的 systemd 单元中的一个奇怪的模式。审查 networkd-dispatcher 的代码流发现了多个安全问题,可以被用来提升权限,部署恶意软件或进行其他恶意活动。networkd-dispatcher 由 Clayton Craft 维护,目前已更新以解决微软发现的漏洞,建议受影响的用户尽快进行更新。

微软在博客中分享了一些有关受影响组件的信息,其中 D-Bus(Desktop-Bus)组件就是攻击者的偏好目标。它是一个由 freedesktop.org 项目开发的进程间通信通道(IPC)机制;是一个软件总线,允许同一终端上的进程通过传输消息和响应消息进行通信。

原因在于许多 D-Bus 组件默认安装在流行的桌面 Linux 发行版上,例如 Linux Mint。由于这些组件以不同的权限运行并响应消息,因此 D-Bus 组件对攻击者来说是一个有吸引力的目标。事实上,过去就曾出现过一些与有缺陷的 D-Bus 服务相关的漏洞,包括 USBCreator Elevation of Privilege、Blueman Elevation of Privilege by command injection 以及其他类似情况。

“D-Bus 暴露了一个全局 System Bus 和一个 per-session Session Bus。从攻击者的角度来看,系统总线更有吸引力,因为它通常会有以 root 身份运行的服务来监听它。”